Par Samantha Clarke, Hiwot Mendahun et l'équipe de recherche sur les menaces de Mimecast
Les chercheurs en cybersécurité de Mimecast surveillent et enquêtent depuis un certain temps sur une campagne de vol d'informations ciblant diverses organisations, en particulier dans les secteurs du commerce de détail, du voyage et de l'hôtellerie (référencée en interne sous le nom de MCTO1023). Dans le cadre de cette campagne, des cybercriminels se font passer pour des cabinets d'avocats réputés et contactent des entreprises au sujet d'une violation du droit d'auteur, afin d'inciter les victimes à télécharger des fichiers malveillants depuis Dropbox. Ces fichiers malveillants visent à diffuser des malware sous la forme de divers « InfoStealers ».
Distribué via Mail Merge, un service qui permet la distribution de campagnes d'e-mails en masse personnalisées en intégrant des données spécifiques aux destinataires dans des modèles. Les acteurs malveillants exploitent les comptes d'essai gratuits de Mail Merge en association avec Gmail, pour orchestrer et diffuser des campagnes par e-mail à grande échelle. En abusant de plateformes légitimes, ils contournent certaines authentifications DNS, garantissant ainsi la réussite de leurs campagnes malveillantes.
Une fois que l'utilisateur a téléchargé les fichiers, l'exécutable, lorsqu'il est exécuté, utilise un dépôt GitHub appartenant à LoneNone1807 qui inclut plusieurs fichiers malware. Le dépôt comprend une campagne récente qui commence par un fichier batch hautement obscurci qui, lorsqu'il est exécuté, télécharge et installe deux types de malware : XWorm et RedLine. XWorm est un cheval de Troie d'accès à distance (RAT) qui permet aux attaquants de contrôler les systèmes infectés, tandis que RedLine est un voleur d'informations conçu pour extraire des données sensibles des victimes. Le malware emploie des techniques d'obscurcissement avancées, utilisant des scripts batch hautement encodés avec des couches de commandes imbriquées et générant dynamiquement des charges utiles pour contourner les mécanismes de détection traditionnels.
Mimecast a observé un flux constant de campagnes débutant initialement vers juillet, mais s'intensifiant vers août, avec un pic majeur en décembre pour cette campagne.
Plusieurs analyses ont été menées sur le malware trouvé sur le compte GitHub de LoneNone1807, y compris une récente campagne de malware qui débute par un fichier batch fortement obfusqué. Les détails complets des capacités du malware peuvent être lus dans le rapport de recherche de SANS.
T1566.002 : Phishing - Lien de phishing ciblé
T1102.001 : Service Web - Résolveur de dépôt mort
T1071 : Protocole de la couche application (commande et contrôle)
T1574.002 : Détournement du flux d'exécution - détournement de l'ordre de recherche de DLL
T1562.001 : Affaiblir les défenses - Désactiver ou modifier les outils
T1497 : évasion de la virtualisation/sandbox
T1056 : capture d'entrée
T1010 : découverte de fenêtres d'application
T1082 : découverte des informations système
Découvrez comment la plateforme unique de Mimecast peut protéger votre personnel, votre IA et vos données.
Rejoignez les milliers de professionnels de la sécurité qui utilisent nos alertes sélectionnées avec soin, nos analyses d'experts et nos indicateurs de compromission (IOC) liés aux campagnes pour se protéger contre les cybermenaces émergentes.
Threat Intelligence1 sept. 2026
Threat Intelligence27 août 2026
